适用对象：在日本使用 and ST 门店或 and ST 网店的客户、与该集团有业务往来的公司员工，以及处理客户数据的人。本文依据公司的官方通知，不涉及攻击或诈骗手法。
事态仍在发展：该机构发布更多信息后，本文将更新
截至2026年10月24日尚不清楚
- 员工数据的范围
- 访问方式
- 如何以及何时联系个人
- 专门的咨询窗口
- 会员积分何时可再次使用
公司在10月23日的通知中称，将陆续联系受影响的客户和合作伙伴，并设立咨询窗口。公司称，如果进一步调查发现应报告的新情况，将迅速报告。10月24日我们查看公司的通知列表时，尚未发布后续通知。
会员今天该做什么
请在官方应用中查看公司通知，不要通过其链接
公司称将陆续联系受影响的客户。截至10月24日，通知没有说明将通过电子邮件、应用还是邮寄方式联系。
如果你收到看似来自该公司的内容，请不要打开其中的链接。请查看官方应用中是否出现相同信息，或通过书签或搜索打开官方网站查看。
不要因为品牌、地址或出生日期正确就相信消息
可能泄露的数据包括姓名、地址、电话号码和电子邮件地址，以及出生日期和会员ID。虚假消息可以写出你真实的地址和出生日期。
如果有关于“致歉”“退款”或“确认会员信息”的消息要求你提供银行卡号、银行账户信息或登录信息，请到此为止（识别方法见：什么是网络钓鱼？）。
对“补偿”或“到期”积分的消息要小心
据公司称，目前会员积分无法在门店和网店使用。这类情况常被用作虚假消息的借口，例如“我们将补偿您的积分”或“您的积分即将到期”。
请在官方应用或官方网站的“我的页面”查看积分。公司的支持页面称，维护期间“我的页面”可能打不开，积分余额也可能显示不正确；即使看起来不对，也不要通过电子邮件或短信中的链接去查看。
据称不含密码；只需不再重复使用密码
公司称，客户设置的密码不在可能泄露的数据之内，也没有要求客户修改密码。
不过，会员ID和电子邮件地址包含在内。如果你在其他地方使用相同的密码，请现在就为每个服务设置不同的密码，以免其他地方的泄露被用在这里。密码管理器是实现这一点的实用方法。
不要在电话中回答“身份确认”
掌握了出生日期、地址和电话号码，来电者就可能冒充公司“确认你的身份”，试图套取银行卡号或PIN码等其余信息。
即使来电者自称来自该公司，也不要当场回答。请挂断电话，自行联系官方网站上列出的窗口。
如果已输入信息或已付款，请立即求助
如果你因虚假消息输入了银行卡或银行账户信息，请立即联系发卡机构或银行。
在日本，你也可以拨打警方咨询专线（#9110）或消费者热线（188）。报告越早，阻止付款的机会越大。
合作伙伴该做什么
约1万条合作伙伴记录可能已泄露，包括公司名称、订货和退货地址、联系人姓名、电话号码和电子邮件地址。这些信息合在一起，更容易写出冒充交易伙伴的电子邮件。
- 如果以该公司或其集团名义发来的电子邮件要求你变更银行账户信息或紧急付款，请通过你已知的电话号码向本人确认
- 不要使用邮件中的电话号码或回复地址来核实
- 在打开有关订货或退货的陌生附件或链接之前，请先询问你自己的IT负责人
发生了什么（来自 and ST HD 的通知）
2026年10月23日，and ST HD Co., Ltd.（旗下集团包括 Adastria 的控股公司）在其公司网站发布了关于业务服务器遭未经授权访问及个人信息等可能泄露的致歉通知。以下内容均如公司通知所述。时间为日本时间。
2026年10月22日，上午7:30左右
外部未经授权访问：对公司多台服务器依次进行了登录尝试、入侵和数据提取。上午10:00左右
公司发现未经授权的活动，并隔离了相关服务器。下午5:00前
访问途径被切断，内部业务系统等被停止。公司确认，切断后该途径已无法再使用。10月23日
公司咨询了警方，向个人信息保护委员会报告，发布了通知，并称将陆续联系受影响的人员。
- 客户
- 约250万条记录。姓名、出生日期、性别、地址、电话号码、电子邮件地址、会员ID
- 合作伙伴
- 约1万条记录。公司名称、订货和退货地址、联系人姓名、电话号码、电子邮件地址
- 员工
- 范围仍在确认中
- 不含
- 支付数据（如信用卡信息）以及客户自行设置的密码
- 经过
- 自10月22日上午7:30左右起，依次对多台服务器进行登录尝试、入侵和数据提取。上午10:00左右发现并隔离；下午5:00前切断途径
- 网店
- and ST 网店未受未经授权访问影响。但目前会员积分无法在门店和网店使用
- 应对
- 已采取紧急措施；已查明访问方式并作处理。陆续联系受影响的客户和合作伙伴；将设立咨询窗口
- 报告对象
- 已咨询警方；已通知个人信息保护委员会（日本的数据保护机构）（10月23日）
- 联系方式
- 通知中列出的客户咨询表单：support.dot-st.com（请使用此表单或官方网站，不要使用电子邮件或短信中的联系方式）
and ST 支持网站称，自10月22日下午5:00左右起正在进行“系统维护”，并列出了以下影响：无法使用积分下单、积分余额可能显示不正确、“我的页面”可能打不开、门店自提和试穿服务暂停，以及与 d Account 或 Rakuten ID 的关联可能无法使用（10月24日查看）。该页面本身没有提及未经授权访问。
公司的业务服务器
10月22日上午7:30左右起遭未经授权访问；上午10:00左右发现并隔离
↓ 可能泄露的数据
客户：约250万条记录
姓名、出生日期、性别、地址、电话、电子邮件、会员ID
合作伙伴：约1万条记录
公司名称、订货/退货地址、联系人姓名、电话、电子邮件
↓ 通常随后发生的事
以该公司或某品牌名义发来的电子邮件、短信、电话或信件
借致歉、积分补偿或身份确认之名，索要银行卡或登录信息
↓ 不要使用其中的链接或号码
在官方应用或自己打开的网站上核实
真正的通知在那里也会出现
已知与未知
依据公司10月23日的通知，截至2026年10月24日。出现后续通知时，我们会更新状态一栏。
| 项目 | 公司的说法 | 状态 |
|---|---|---|
| 未经授权访问 | 第三方未经授权访问了公司的业务服务器 | 已确认（公司） |
| 时间与应对 | 自10月22日上午7:30左右起；上午10:00左右发现并隔离；下午5:00前切断途径 | 已确认（公司） |
| 客户数据 | 约250万条记录：姓名、出生日期、性别、地址、电话、电子邮件、会员ID | 可能（公司） |
| 合作伙伴数据 | 约1万条记录：公司名称、订货/退货地址、联系人姓名、电话、电子邮件 | 可能（公司） |
| 员工数据 | 范围仍在确认中 | 调查中 |
| 支付数据和客户自行设置的密码 | 不在可能泄露的数据之内 | 不含（公司） |
| 哪项会员服务 | 未说明 | 未说明 |
| 访问方式（原因） | 称已查明并处理；未公布 | 未说明 |
| and ST 网店 | 未受未经授权访问影响 | 已确认（公司） |
| 会员积分 | 目前在门店和网店无法使用；未给出恢复日期 | 未说明 |
| 联系个人 | 将陆续开始；未给出方式和时间 | 未说明 |
| 滥用 | 未公布收到使用泄露数据的消息 | 未说明 |
| 警方与监管机构 | 已咨询警方；已通知委员会 | 已确认（公司） |
这类数据组合可能被用来做什么
以下是此类数据组合泄露时通常会发生的情况。并不是说本次事件中已经发生。
虚假消息可能包含的内容
- 姓名、地址和电话号码：带有品牌名称的信件或短信
- 出生日期：电话“身份确认”
- 会员ID：指向虚假登录页面的“确认会员资格”链接
虚假消息做不到的事
- 更改官方应用内的通知
- 更改你自己打开的官方网站上“我的页面”的显示内容
- 让官方网站上列出的窗口对你说出同样的说法
关于此前一起会员数据泄露但不含密码的案例，请见MrMax 应用和网店数据泄露。想了解涉及密码数据时建议有何不同，请对比Bookoff 会员数据泄露。
这次的不同之处：包含合作伙伴的联系方式
许多零售业数据泄露只影响会员，而这次约1万条合作伙伴记录中的公司名称、订货和退货地址、联系人姓名和联系方式也可能已泄露。
这意味着，不仅要防范针对会员的虚假消息，还要防范冒充交易伙伴、要求付款或变更银行账户信息的电子邮件。
给处理客户数据的人
访问方式尚未公布。本节只依据公司所述经过能得出的内容。
对跨多台服务器的重复登录尝试设置告警
根据通知，登录尝试是依次针对多台服务器进行的。除了按服务器统计失败次数，还请把同一来源连续尝试登录多台服务器加入告警条件。
管理员登录应始终要求密码之外的验证（多因素认证）。
来源（公开记录）
本文的事实来自以下公开来源。对未公布的访问方式和所涉及的会员服务，不作猜测。
- and ST HD Co., Ltd.，关于业务服务器遭未经授权访问及个人信息等可能泄露的致歉通知（2026年10月23日，日文）— andst-hd.co.jp
- and ST 支持，关于网站维护影响的通知（2026年10月24日查看，日文）— support.dot-st.com
更新记录
2026-10-24：初版，依据 and ST HD 10月23日的通知。公布员工数据范围、联系个人的方式或会员积分恢复情况后将更新。
延伸阅读
- 类似案例：Abahouse 数据泄露（虚假退款邮件） / MrMax 数据泄露
- 后续诈骗：什么是网络钓鱼？ / 电子邮件欺骗与 SPF、DKIM、DMARC
- 密码：如何检查你的密码是否泄露 / 如何选择密码管理器
- 2026年其他事件：数据泄露和网络攻击列表（日本及全球）